S+P Lehrgang Z20 · IT-Governance, DORA und NIS-2
Zwei Tage. Ein Steuerungsrahmen für IT, Sicherheit und Anbieter.
Als CIO verantwortest du Strategie, Betrieb und Sicherheit der IT und belegst sie gegenüber Leitung, Aufsicht und Prüfern. Du erarbeitest IKT-Strategie, Governance-Rahmen, Anbietersteuerung und Berichtswesen für dein Unternehmen.
Das ausführliche Programm
Tag 1 · Strategie: Rolle, IT-Governance und Cyberpflichten
01
02
03
Tag 2 · Steuerung: Anbieter, Risiken, Berichtswesen und Roadmap
04
05
06
Für CIOs und angehende CIOs, IT-Leiter und Bereichsleiter IT sowie Verantwortliche für Informationssicherheit und IT-Governance. Tag 1 legt Strategie und Governance, Tag 2 die Steuerung von Anbietern, Risiken und Berichtswesen. Für Resilienz, Notfallmanagement und Meldeprozesse gibt es den Lehrgang Chief Resilience Officer (Z31).
Spezielle Vorkenntnisse sind nicht erforderlich. Hilfreich sind deine IKT-Strategie, das Informationsregister und der letzte IT-Bericht an die Leitung in anonymisierter Form. Vertrauliche Unternehmensdaten musst du nicht offenlegen.
Jeder Termin arbeitet mit dem am Lehrgangstag geltenden Rechtsstand. Ob DORA, NIS-2/BSIG, MaRisk oder mehrere Regime gelten, richtet sich nach Institutsart, Sektor und Größe. Laufende Gesetzgebungsverfahren ordnen wir als Entwurf ein.
Regulatorisches Update · Stand 11.10.2026
Vier Änderungen für Cybersicherheit, MaRisk, DORA und KI – im Lehrgang in den Modulen 1 bis 6 eingeordnet, mit klarer Trennung von bisheriger und neuer Regelung.
| Bisherige Regelung | Neue Regelung |
|---|---|
| Cybersicherheit und Leitungspflichten: BSI-GesetzDas BSI-Gesetz verpflichtete vor allem Betreiber Kritischer Infrastrukturen. Die Verantwortung der Leitung für Informationssicherheit ergab sich aus allgemeinen Organisations- und Sorgfaltspflichten. | Seit 06.12.2025Das NIS-2-Umsetzungsgesetz ist seit dem 06.12.2025 in Kraft und ändert das BSI-Gesetz. Betroffene Einrichtungen (§ 28 BSIG) setzen Risikomanagementmaßnahmen um (§ 30 BSIG), melden Sicherheitsvorfälle (§ 32 BSIG) und registrieren sich beim BSI (§ 33 BSIG). Nach § 38 BSIG billigen die Geschäftsleitungen die Maßnahmen, überwachen ihre Umsetzung und nehmen an Schulungen teil. Für Finanzunternehmen im Anwendungsbereich von DORA ist die Abgrenzung im Einzelfall zu prüfen. |
| MaRisk: IKT-Strategie und Abgrenzung zu DORADie MaRisk (Rundschreiben 06/2024 (BA)) regelten in AT 7.2 die technisch-organisatorische Ausstattung und erfassten in AT 9 auch ausgelagerte IKT-Dienstleistungen – parallel zum IKT-Drittparteirisikomanagement nach DORA. | Seit 30.06.2026 · Übergangsfrist bis 01.01.2027Mit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA)) fallen IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteirisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht mehr unter AT 9. Die IKT-Strategie (AT 4.2 Tz. 2) und die Einbeziehung der IKT-Risiken in die Risikoinventur (AT 2.2) bleiben MaRisk-Pflichten. Für zusätzliche Anforderungen gilt eine Übergangsfrist bis 01.01.2027. |
| DORA: Verantwortung des Leitungsorgans und DrittparteienFür das IT-Risikomanagement von Banken galten die BAIT. Institute im DORA-Anwendungsbereich hat die BaFin mit Ablauf des 16.01.2025 aus dem BAIT-Anwenderkreis genommen. | Seit 17.01.2025DORA (VO (EU) 2022/2554) gilt unmittelbar. Das Leitungsorgan trägt nach Art. 5 Abs. 2 die letztendliche Verantwortung für das IKT-Risikomanagement und muss nach Art. 5 Abs. 4 über ausreichende Kenntnisse und Fähigkeiten verfügen. Für IKT-Dienstleister führt das Finanzunternehmen das Informationsregister (Art. 28 Abs. 3), bewertet Konzentrationsrisiken (Art. 29) und regelt Vertragsinhalte (Art. 30). Wie sich diese Pflichten auf die IT-Leitung auswirken, richtet sich nach der Organisation. |
| KI-Verordnung: KI-Kompetenz und Hochrisiko-KIArt. 4 VO (EU) 2024/1689 verlangte seit 02.02.2025, nach besten Kräften sicherzustellen, dass das Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III sollten ab 02.08.2026 gelten. | Seit 27.07.2026Nach der Neufassung durch VO (EU) 2026/1744 ergreifen Anbieter und Betreiber Maßnahmen, die die Entwicklung der KI-Kompetenz ihres Personals unterstützen. Die Pflichten für Hochrisiko-KI nach Anhang III – im Finanzsektor etwa die Kreditwürdigkeitsprüfung natürlicher Personen (Anhang III Nr. 5 lit. b) – gelten ab 02.12.2027. Bereits anwendbare Vorschriften wie Art. 4 und die Transparenzpflichten nach Art. 50 bleiben zu beachten. |
Rechtsgrundlagen: BSIG · §§ 28, 30, 32, 33, 38 · NIS-2-Richtlinie · RL (EU) 2022/2555 · DORA · VO (EU) 2022/2554, Art. 5, 28, 29, 30 · BaFin-Rundschreiben 06/2026 (BA) – MaRisk, AT 2.2, AT 4.2 und AT 9 · KI-Verordnung · VO (EU) 2024/1689, geändert durch VO (EU) 2026/1744. Die Pflichten sind jeweils nach Institutsart, Sektor, Größe und Aufsichtsregime einzuordnen.
Dein Praxistransfer: Prüfe, welche Strategie-, Governance- und Anbieterunterlagen in deinem Unternehmen vorhanden sind und was fehlt. Lege fest, welche Berichte an Leitung und Aufsichtsorgan gehen und wer sie verantwortet.
Praxiswerkstatt
Drei Fälle ziehen sich durch den Lehrgang. An ihnen arbeitest du mit den Arbeitshilfen der Tool Box und an deinem Steuerungsrahmen für die IT.
Die IKT-Strategie besteht aus einer Liste laufender Projekte. Ziele, Kennzahlen und eine Verbindung zur Geschäftsstrategie fehlen, und die Leitung hat sie nie beraten.
Deine Aufgabe: Entwickle mit dem Strategie-Raster Ziele, Kennzahlen und Verantwortliche, ordne die Anforderungen nach MaRisk AT 4.2 Tz. 2 und Art. 5 DORA zu und lege fest, wie die Leitung die Strategie berät und freigibt.
Ein IKT-Dienstleister trägt mehrere kritische Funktionen. Das Informationsregister zeigt die Konzentration, ein Ausstiegsszenario fehlt. Die Leitung will aus Kostengründen nichts ändern.
Deine Aufgabe: Bewerte mit dem Anbieter-Raster Kritikalität und Konzentration nach Art. 28 bis 30 DORA, entscheide, ob du Ausstieg oder Gegenmaßnahmen empfiehlst, und halte die Entscheidung mit Begründung für die Leitung fest.
Ein Fachbereich setzt seit Monaten ein KI-Werkzeug für Kundenanfragen ein. Weder IT noch Informationssicherheit haben es bewertet, und im Informationsregister taucht es nicht auf.
Deine Aufgabe: Ordne den Einsatz nach KI-Verordnung ein (Art. 4, Anhang III), regele Zuständigkeiten, trage den Anbieter ins Register ein und lege fest, was du an die Leitung berichtest.
Dein Ergebnis
Du leitest eine IKT-Strategie aus der Geschäftsstrategie ab und legst Ziele, Kennzahlen und Verantwortliche fest.
Du ordnest Frameworks, Zuständigkeiten und Kontrollen so, dass Leitung, Aufsicht und Prüfer sie nachvollziehen können.
Du grenzt DORA, NIS-2/BSIG und MaRisk für dein Unternehmen ab und bereitest die Unterlagen für die Leitung vor.
Du bewertest IKT-Dienstleister nach Kritikalität und Konzentration und planst Vertrag, Register und Ausstieg.
Du baust ein Kennzahlenset für IT und Sicherheit auf und berichtest mit Schwellen, Maßnahmen und Verantwortlichen.
Du erhältst das S+P Teilnahmezertifikat mit dokumentierten Inhalten und 12,0 Zeitstunden sowie das Digital Badge.
Selbsteinschätzung
Im Lehrgangspreis enthalten
Dein Lehrgang wirkt über die zwei Tage hinaus: mit der S+P Tool Box für deine IT-Steuerung und S+P C.O.R.E. für regelmäßige Updates zu den Themen, die IT-Governance, Informationssicherheit und IKT-Anbieter im Jahresverlauf betreffen.
01 · Direkt anwenden
Dein Werkzeugkasten für die IT-Steuerung.
Nutze die Lehrgangsinhalte direkt in deinem Unternehmen. Die Tool Box ist ohne Aufpreis im Lehrgangspreis enthalten und enthält die Toolkits und Raster, mit denen du in den Modulen arbeitest.
Dein Vorteil Du beginnst mit konkreten Arbeitshilfen und passt sie an dein Unternehmen, deine Organisation und deine Berichtslinien an.
S+P Tool Box entdecken02 · Aktuell bleiben
Dein Update. Dein Austausch. Dein nächster Impuls.
Regulatorik, Prüfungsschwerpunkte und Technologiethemen ändern sich laufend. Mit S+P C.O.R.E. ordnest du aktuelle Entwicklungen ein und diskutierst praktische Umsetzungsfragen mit Fachverantwortlichen und Experten. Mit deiner Buchung bist du unbefristet und kostenfrei dabei – mit einem Update pro Quartal.
Dein Vorteil Du bleibst auch nach dem Lehrgang mit aktuellen Themen der IT-Governance und dem S+P Expertennetzwerk verbunden.
S+P C.O.R.E. entdeckenBei jeder Buchung enthalten: unbefristet und kostenfrei, ein Update pro Quartal. Zu jedem Update-Event meldest du dich kurz an – so können wir das Update auf Teilnehmerzahl und Branchen abstimmen.
S+P Certified
Nach dem Lehrgang bekommst du deinen Nachweis digital – dort einsetzbar, wo er gesehen wird: in der Personalakte, im LinkedIn-Profil und im Lebenslauf.
Die Prüfung S+P Certified ist ein zusätzliches, freiwilliges Angebot. Sie ist nicht Teil der Teilnahme am Lehrgang und wird nicht allein durch den Besuch der beiden Tage abgelegt.
Über den Referenten
Geschäftsführer S+P Compliance & S+P Unternehmerforum · Experte für IKT-Risiko, Informationssicherheit & Governance
Achim Schulz kennt den Druck von IT-Audits aus dem täglichen Geschäft. Mit der S+P Compliance Services agiert er dauerhaft als Auslagerungsdienstleister für regulierte Unternehmen und setzt die Anforderungen aus DORA, NIS-2 und dem Cyber Resilience Act (CRA) in der eigenen Praxis um.
Als Sparringspartner für IT-Verantwortliche und Geschäftsleitung verbindet er technische IT-Sicherheit mit aufsichtsrechtlichen Pflichten. Er kennt aus der Praxis, welche Nachweise Prüfer heute sehen wollen.
In seinen Seminaren übersetzt er komplexe RTS-Vorgaben in nachvollziehbare Prozesse. Mit der S+P Tool Box erhältst du Templates aus der Dienstleister-Praxis, vom IKT-Drittparteien-Register bis zum Incident-Reporting.
Das Ziel: Dein Unternehmen ist auf Audits und Belastungstests besser vorbereitet, und du kannst Anforderungen und Nachweise gegenüber Prüfern und Aufsicht belegen.
Zugleich ist er selbst als Compliance Officer für Banken, Wertpapierinstitute und weitere BaFin-regulierte Institute bestellt und übt die Funktionen CISO und IKT-Risikokontrolle nach DORA aus.
Termine und Buchung
| Ort | S+P Seminare | Datum | |
|---|---|---|---|
| Online | Z20 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen | |
| Online | Z20 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen | |
| Online | Z20 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen | |
| Online | Z20 - Notfallbeauftragter & Chief Resilience Officer | Jetzt buchen |
Frage zu Termin, Rechnung oder Anmeldung für mehrere Personen?
Schreib uns – die Antwort kommt in der Regel am nächsten Werktag. Meldest du dich mit mindestens zwei Personen aus einem Unternehmen an, erhalten alle Teilnehmenden 10 % Nachlass; für ein ganzes Team ist eine Inhouse-Schulung meist wirtschaftlicher.
Erfahrungen von Teilnehmenden
Unabhängige Bewertungen zu unseren Seminaren findest du auf zwei Bewertungsportalen.
Nächster Schritt
Melde dich jetzt an und arbeite an IKT-Strategie, Governance-Rahmen, Anbietersteuerung und Roadmap für dein Unternehmen. Zwei Tage live online, 12,0 Zeitstunden, S+P Teilnahmezertifikat und Digital Badge, Tool Box und unbefristet kostenfreies C.O.R.E. Update inklusive.
